概要
JPCERT/CCは2026年10月28日に、最新の週報を発表しました。JPCERT/CCは国内のサイバーセキュリティ対策を支援する専門機関です。
ネットワーク機器から開発ツールやブラウザに至るまで、幅広いソフトウェア製品で深刻な脆弱性が確認されています。
利用者や管理者は、修正済みバージョンへの速やかなアップデートが求められます。
何が発表された？
JPCERT/CCがセキュリティ関連情報を公開しました。対象期間は2026年10月18日から10月24日までです。合計15件に及ぶ注意喚起や脆弱性情報が取りまとめられました。
ネットワーク管理製品やDNSサーバーソフト、ウェブ開発フレームワークなどが含まれています。インフラや開発の根幹に関わる重要なソフトウェアが多数対象となっています。
中にはすでに実際の攻撃での悪用が確認されている事例もあります。早急な対応が必要な状況です。
どんな製品に脆弱性が見つかった？
VeloCloud OrchestratorのSQLインジェクション
AristaがVeloCloud Orchestratorを提供しています。この製品にはデータベースを不正に操作される恐れのあるSQLインジェクションの脆弱性が存在します。
開発元ではすでに悪用を確認しました。ホスト型はすでに対応済みです。
オンプレミス版を利用している場合は注意が必要です。オンプレミス版は自社サーバー導入型を指します。直ちに修正済みバージョンへの更新を行ってください。
PHPにおけるリモートコード実行の脆弱性
PHPには複数の脆弱性が見つかっています。具体的にはCVE-2026-109618やCVE-2026-109619の脆弱性です。外部から任意のコードを実行されるおそれがあります。
すでに実証コードが公開されました。悪用を試みる通信も観測されています。
サポートが終了したバージョンには修正版が提供されません。バージョンアップによる根本的な対策が必須です。
その他の主要なソフトウェアの更新情報
Internet Systems Consortiumが提供するBINDや複数のCisco製品、GitLab、Apache Tomcat、Google Chrome、複数のAtlassian製品、Mozilla製品でも複数の脆弱性が報告されています。Mozilla製品にはFirefoxやThunderbirdなどが含まれます。
また、LaravelのTokenGuardやRoundcube Webmail、MOVEit Transfer、複数のOracle製品においても同様に脆弱性が確認されました。
スペックと価格は？
元記事ではソフトウェアの脆弱性とアップデート情報が対象となっています。そのため、製品の仕様や価格についての言及はありません。
前と何が違う？注意点は？
今回の発表では個別の新機能追加はありません。既存システムに潜む深刻なセキュリティ上の欠陥の修正がメインとなります。
特にPHPのようにサポート終了バージョンでは修正版がリリースされないケースもあります。利用環境のバージョンが現在もサポート対象内であるかどうかの確認が不可欠となります。
自分に関係ある？
システム管理者やWebエンジニア、企業でITインフラを扱う事業者にとっては重要です。業務に直結する極めて重要な情報となります。
また、Google ChromeやMozilla製ブラウザを使っている一般の利用者も対象です。自動更新機能などを通じて最新版が適用されているか確認することが大切です。
放置すると情報漏えいや不正アクセスのリスクが高まります。
もう買える？使える？
各ソフトウェアやサービスの安全性を確保するためには手順が必要です。以下の手順で対応を行ってください。
これまでの流れ
直近のPHPに関する注意喚起に続き、今回は別の動きがありました。ネットワーク機器やサーバー向けソフトウェアなど広範囲の製品で脆弱性が一斉に報告される形となりました。
まとめ
多くの脆弱性において、すでに修正済みのバージョンが公開されています。
利用者は自社や自身の環境で使っている製品のバージョンを確認してください。その上で、速やかにパッチの適用やアップデートを進めることが重要です。
